ソーシャルエンジニアリングの手口と対策 情報セキュリティマネジメント試験の対策と IPA の過去問

ソーシャルエンジニアリングは、機械の弱さではなく人の心のすきを突いて、パスワードや機密の情報、お金を引き出す手口の総称です。電話で担当者を名乗って聞き出す、肩越しに画面を盗み見る、捨てたごみをあさる、取引先になりすましたメールで振り込ませる、などがあります。ソフトを直しても防げないので、守りは決まりと確かめ方と教育が中心になります。

主な手口と、効く守り

情報セキュリティマネジメント試験と仕事でよく出る手口を、何をするかと効く守りで並べました。

なりすまし

社員、システム管理者、取引先、役員などを名乗り、電話や対面でパスワードや情報を聞き出す。

• 効く守り。パスワードは誰にも口で伝えない決まりにする。こちらから登録済みの番号にかけ直して本人を確かめる

ショルダーハッキング

肩越しに画面やキーボードの手元を盗み見る。

• 効く守り。人前で機密を開かない。のぞき見を防ぐフィルターを貼る。離席するときは画面を鍵で閉じる

トラッシング

捨てた書類や記録媒体から情報を探す。

• 効く守り。シュレッダーにかける、溶かして処分する、媒体は壊してから捨てる

共連れ (ピギーバック)

入る許しのある人の後ろについて、扉を一緒に通る。

• 効く守り。1 人ずつ社員証をかざす決まりにする。知らない人は受付へ案内する

フィッシング

本物に似せたメールや SMS で偽のサイトへ誘い、ID やパスワードを入れさせる。

• 効く守り。届いたリンクから入らない。公式のアプリやブックマークから開く。多要素認証を入れる

ビジネスメール詐欺 (BEC)

取引先や自社の役員になりすましたメールで、攻撃者の口座に振り込ませる。

• 効く守り。振込先の変更や急ぎの送金は、別の経路で確かめる。1 人で決めない

SNS からの下調べ

社員が SNS に出した所属、役職、職場の写真から、名乗る相手の名前や社内の言い方を調べ、なりすましの電話やメールを本物らしく見せる。

• 効く守り。投稿に所属、役職、社員証や画面が写った写真を出しすぎない

偽のセキュリティ警告

「ウイルスに感染した」という偽の画面で電話させ、遠隔操作のソフトを入れさせたり、お金を払わせたりする。

• 効く守り。表示された番号に電話しない。画面を閉じる

JNSA (日本ネットワークセキュリティ協会) は、2013 年時点の資料で、電話でのなりすましの例として、社員を装ってシステム管理者に「パスワードを忘れたので教えて欲しい」と頼む手口や、面識のない役員を名乗って高圧的に迫る手口を挙げ、折り返しの連絡で本人を確かめてから答えるよう勧めています (ソーシャルエンジニアリングの手口と対策)。

なぜ人はだまされるのか

ソーシャルエンジニアリングの文面や電話には、決まった型があります。型を知っておくと、その場で気づけます。

• 急がせる。「今日中に」「今すぐ」「止まります」と言って、確かめる時間を奪う
• 偉い人や担当を名乗る。システム管理者、監査部、社長、取引先と名乗るだけで、疑いにくくなる
• 親切心に頼る。「荷物で手がふさがっている」「困っている」と言われると、断りにくい
• こわがらせる。「ウイルスに感染した」「アカウントが止まる」と言って、落ち着いて考えさせない

どれも、相手の言う連絡先や手順に乗せたまま進めさせるのが狙いです。だから守りは、相手の言う道を降りて、自分の知っている道で確かめることになります。

過去問で確かめる

情報セキュリティマネジメント試験の 3 問と、ITパスポート試験の 1 問です。問題文と選択肢は IPA の問題冊子のとおりで、手を入れていません。正解は同じ回の解答例で確かめました。解説はゆめさくが書いたものです。選んでから「答え合わせ」を押すと、正誤と解説が出ます。

場面で見分ける

試験では、場面の文から手口の名前を選ばせる問題がよく出ます。次の 8 つの場面を読んで、当てはまる名前を押してください。押すとすぐに正誤と、その場面での守り方が出ます。場面はゆめさくが作った例で、実際の事件ではありません。

人の心理と組織の決まりを読み解いて守る仕事が自分に合うかは、転職診断で確かめられます。

自分でできる 3 つ

• 届いたメールや SMS のリンクと添付を、そのまま開かない。公式のアプリやブックマークから確かめる
• パスワードを使い回さない。聞き出されたり漏れたりしても、ほかのサービスまで入られない
• 人前で画面や書類を広げない。離れるときは画面を鍵で閉じる

組織で決めておくこと

ソーシャルエンジニアリングは、その場の 1 人の判断を狙います。だから組織では、迷わずに断れる決まりを先に作り、全員に知らせておきます。

• パスワードは誰にも伝えない。情報システム部が電話やメールでパスワードを聞くことは無い、と全員に知らせておく。聞かれたら、それだけで怪しいと分かる
• 本人の確かめ方を決める。電話での問い合わせには、登録済みの番号へかけ直してから答える。パスワードの再発行は、決まった手続きでだけ受ける
• お金の動きは別の経路で確かめる。振込先の変更や急ぎの送金の依頼は、メールに書かれた連絡先ではなく、前から知っている電話番号などで相手に確かめる。IPA は、ビジネスメール詐欺の手口があることをまず職員に知ってもらい、そのうえで多層の守りを重ねるよう案内しています (ビジネスメール詐欺 (BEC) 対策特設ページ)
• 入退室を管理する。社員証を見えるように付ける、扉は 1 人ずつ通る、入退室の記録を残す
• 捨て方を決める。紙はシュレッダー、機密の書類は溶かして処分、記録媒体は壊してから捨てる
• 報告しやすくする。「怪しい電話が来た」をすぐ言える窓口を作る。だまされかけた話が集まると、次の人が気づける
• 聞き出されても入られない仕組みを重ねる。パスワードを聞き出されても、多要素認証があれば、それだけではログインされにくい

試験での問われ方

試験は、場面の文から手口の名前を選ぶ形と、名前から当てはまる場面を選ぶ形で出ます。見分けのこつは次の 3 つです。

• 人をだましているか。ソフトやプログラムで盗む (キーロガー、辞書攻撃、パスワードリスト攻撃) なら、ソーシャルエンジニアリングではない。過去問 2 のイからエがこれ
• 何を使うか。電話や対面ならなりすまし、のぞき見ならショルダーハッキング、ごみならトラッシング、扉なら共連れ、偽のサイトならフィッシング
• 狙いは何か。取引先や役員を装ってお金を振り込ませるならビジネスメール詐欺。過去問 3 のように、メールの悪用でも狙いが妨害や信用を落とすことなら、別の手口になる

対策を選ぶ問題では、過去問 4 のとおり、ソフトの修正 (パッチ) では防げないことを覚えておきます。効くのは、決まり、教育、確かめる手順です。

受かったあとの道

試験に受かったあと、ここで覚えたことを仕事の手に移していくための頁です。気になったものから開いてください。

• 情報セキュリティマネジメント試験の過去問と解説。ほかの回と分野の問題を、同じ形で解けます
• アカウントのロックとパスワードの決まり。聞き出されたパスワードや漏れたパスワードで入られないための守りを、演習で手に移す対策の頁です
• 情報セキュリティの 3 要素 (機密性、完全性、可用性)。どの手口が、情報のどの性質を壊すのかを確かめる対策の頁です
• フィッシングとは。偽のサイトに誘う手口を、仕組みと事例で詳しく見る頁です
• Web セキュリティ入門。HTTP、Cookie とセッションから、攻撃の入り口の探し方までを学ぶコースです

資格を仕事につなげるなら、転職ロードマップで目指す仕事と順番を確かめられます。セキュリティの仕事が自分に合うかは、転職診断で確かめられます。